카페24 쇼핑몰 보안 점검 체크리스트
AI 해킹 시대, 자사몰이 지금 확인할 15가지

9월 말부터 10월 초까지 국내 은행 여러 곳이 해킹 공격을 받았다는 보도가 이어졌습니다. 기사마다 같은 단어가 나옵니다. AI 에이전트입니다. 사람이 손으로 하나씩 시도하던 일을 자동화 도구가 쉬지 않고 반복했다는 분석입니다.

자사몰을 운영하는 쪽의 질문은 하나로 모입니다. 우리 몰은 괜찮은가, 그리고 무엇부터 확인하면 되는가. 저희도 이번 주에 같은 질문을 받았습니다.

이 글은 그 질문에 대한 답을 카페24 공식 보안 기능 기준으로 정리한 것입니다. 새 솔루션을 들이자는 이야기가 아니라, 이미 관리자 화면에 들어 있는 설정을 어떤 순서로 켜고 무엇을 함께 확인하면 되는지에 대한 이야기입니다. 마지막에 담당자가 직접 표시할 수 있는 15항목 체크리스트를 붙였습니다.

순서는 이렇습니다. 1) 은행 해킹에서 확인된 것, 2) 우리 몰의 옆문 다섯 곳, 3) 자동화 공격이 기대는 반복과 그것을 끊는 설정, 4) 카페24 공식 보안 설정 14가지, 5) 켜는 순서와 카페24 밖의 옆문, 6) 상황별로 먼저 볼 것, 7) 자가 점검 체크리스트 15, 그리고 자주 묻는 질문입니다.

1. 이번 은행 해킹에서 확인된 것 (공개 보도 기준)

먼저 사실부터 정리합니다. 아래는 2026년 10월 1일부터 6일까지 둘 이상의 언론이 같은 내용으로 보도한 것만 옮긴 것입니다.

기사를 나란히 놓고 보면 자사몰 담당자에게 의미 있는 사실은 세 가지입니다.

첫째, 공격이 들어온 곳은 고객이 쓰는 금융 거래 화면이 아니었습니다. 대출모집인이 쓰는 전용 페이지, 직원용 업무 지원 시스템, 영업 지원 시스템처럼 내부 사람과 협력사가 쓰는 화면이었습니다. 정문보다 옆문입니다.

둘째, AI가 바꾼 것은 기술보다 속도와 반복입니다. 보도에 따르면 조회 화면의 입력값을 무작위로 바꿔 넣어 정보를 불러오는 방식이 쓰였고, 이 반복을 사람이 아니라 AI 에이전트가 수행한 것으로 추정됩니다. 서버에서 AI 자동 침투 도구의 흔적이 나왔다는 보도도 있었습니다. 예전에도 있던 수법을 쉬지 않고, 싸게, 대량으로 돌릴 수 있게 된 것입니다.

셋째, 같은 시기에 공격을 받고도 유출 없이 넘어간 곳이 있습니다. 공통점은 탐지와 차단이 먼저 작동했다는 것입니다. 금융감독원이 금융권에 보낸 점검 요청에도 외부에 노출된 IT 자산과 서비스를 식별하고 취약점을 점검하라는 내용이 들어 있습니다.

2. 자사몰로 옮겨 보면: 우리 몰의 옆문은 어디인가

카페24 자사몰에서 정문은 고객이 보는 쇼핑몰 화면과 결제입니다. 이 영역은 카페24 플랫폼이 기본으로 운영합니다. 옆문은 운영사가 직접 열고 닫는 곳입니다. 저희가 기업 자사몰을 구축하고 운영하면서 점검 대상으로 두는 옆문은 다섯 곳입니다.

1. 부운영자와 공급사 계정. 외주 개발사, 디자인사, 물류 담당, 입점 공급사가 쓰는 관리자 계정입니다. 은행 사례의 대출모집인 전용 페이지와 가장 닮은 곳입니다.
2. 로그인 뒤에 열리는 전용관. 임직원몰, B2B 전용관, 멤버십 전용관처럼 회원 로그인이 곧 출입증인 화면입니다. 할인 폭이 크거나 거래 정보가 있어 계정 대입의 표적이 되기 쉽습니다.
3. 엑셀 다운로드와 FTP. 주문과 회원 정보가 한 번에 나갈 수 있는 출구입니다.
4. 외부 연동 서버. ERP 연동 미들웨어, 자체 서버, 앱이 쓰는 API 토큰입니다. 카페24 밖에 있어 카페24 설정이 미치지 않습니다.
5. 자동 입력 지점. 출석체크 이벤트, 게시판, 쿠폰 입력처럼 프로그램이 반복해서 입력하기 쉬운 화면입니다.

3. 자동화 공격이 기대는 것은 '반복'입니다

AI를 쓴 공격이라고 해서 막는 방법까지 새로워야 하는 것은 아닙니다. 자동화 공격의 강점은 사람보다 빠르고 지치지 않는다는 것이고, 그 강점은 같은 시도를 끝없이 반복할 수 있을 때만 살아납니다. 그래서 방어의 핵심도 반복을 끊는 것입니다.

대표적인 예가 크리덴셜 스터핑입니다. 다른 사이트에서 유출된 아이디와 비밀번호 조합을 가져와 우리 몰 로그인 화면에 그대로 넣어 보는 방식입니다. 우리 몰의 결함이 아니라 고객이 여러 사이트에 같은 비밀번호를 쓰는 습관 때문에 통하는 공격입니다. 여기에 자동화 도구가 붙으면 많은 조합을 짧은 시간에 넣어 보는 일이 어렵지 않습니다.

오른쪽 칸의 설정은 셋째 줄의 외부 연동 서버를 빼면 모두 카페24 관리자 화면에 이미 들어 있는 기능입니다. 새로 사거나 개발할 필요 없이 켜고, 범위를 정하고, 사람에 맞게 나누는 일입니다.

4. 카페24 공식 보안 설정 14가지

아래 위치는 카페24 고객센터 문서 기준입니다. '운영 보안 관리'와 '운영자 관리'는 [쇼핑몰 설정 > 운영자 설정] 아래에, '상점/보안 설정'은 [쇼핑몰 설정]의 사이트 설정 아래에 있습니다. 관리자 화면이 개편되면 이름이 조금 달라질 수 있으니, 찾기 어려우면 기능 이름으로 카페24 고객센터를 검색하시면 최신 경로가 나옵니다.

관리자 문: 2차 인증과 접속 위치

로그인 2차 인증을 켜면 관리자 로그인 때 SMS나 이메일로 받은 인증번호를 넣어야 들어올 수 있습니다. 켜기 전에 대표 운영자, 부운영자, 공급사 모두 휴대전화와 이메일이 등록되어 있는지 먼저 봅니다. SMS 인증은 잔여 건수가 10건 이상이어야 합니다. 이메일 인증은 SMS를 쓸 수 없을 때만 권장되고, 이때 관리자 비밀번호와 이메일 비밀번호는 다르게 둡니다.

IP 접속 제한은 세 단계입니다. 특정 IP에서만 접속 허용(보안 등급 높음), 국내에서만 접속 허용(보통), 국내와 해외 접속 허용(낮음). IP는 10개까지 등록되고 등록한 IP에 운영자 아이디를 지정할 수 있어, 사무실과 외주사를 계정별로 묶을 수 있습니다. 같은 화면에서 엑셀 파일 다운로드와 FTP 접속도 따로 제한합니다.

카페24는 2024년 9월 4일 공지에서 고객 로그인의 부정 로그인 방지와, 부운영자와 공급사 계정이 비밀번호를 5회 이상 틀리면 잠기는 로그인 실패 횟수 제한을 추가하면서 근거로 2023년 9월 15일 개정된 「개인정보의 안전성 확보조치 기준」을 들었습니다. 잠긴 계정은 대표 운영자가 풀어 줍니다.

고객 로그인 문: 캡차와 국가 차단

부정 로그인 방지를 사용하면 잘못된 로그인이 반복될 때 캡차(보안 문자)가 켜집니다. 사람은 한 번 더 입력하면 되지만 프로그램의 반복은 여기서 크게 느려집니다. 계정 대입처럼 반복에 기대는 공격에 가장 직접적인 장치입니다.

같은 화면의 국가별 허용과 차단은 쇼핑몰 화면 접근 자체를 막습니다. IP별 차단은 등록한 IP가 쇼핑몰과 관리자 모두에 접속할 수 없게 되므로 한 걸음 더 확인하고 넣는 편이 좋습니다. 출석체크 이벤트의 보안 문자와 게시판 작성자 보호(이름 마스킹)도 함께 켭니다.

데이터 출구: 엑셀과 FTP

보안 엑셀 다운로드를 켜면 엑셀을 받기 전에 휴대전화 인증번호를 한 번 거치고, 인증은 로그아웃 전까지 유지됩니다. 통합 엑셀로 파일을 요청할 때는 비밀번호를 걸어 받는 것이 권장됩니다. FTP는 암호화된 SFTP만 쓰도록 바꿉니다.

사람과 기록: 부운영자 권한과 업무 처리 관리

부운영자는 페이지 접근 권한으로 필요한 메뉴만 열고, 상세 권한에서 주문 정보 조회, 개인정보 조회(마스킹), 회원 정보 검색을 따로 제한합니다. 부운영자 관리자 접속 허용 시간을 두면 그 시간 밖에서는 관리자 페이지 접속이 강제로 끊깁니다. 시간은 GMT 기준으로 넣으므로 한국 시간에서 9시간을 빼서 입력합니다.

업무 처리 관리는 누가 언제 무엇을 했는지 남는 화면입니다. 기본 로그 2년, 권한 부여와 변경, 말소 기록 5년이 보관됩니다. 문제가 생긴 뒤에 처음 여는 화면이 아니라 분기마다 한 번씩 열어 보는 화면으로 두시길 권합니다.

5. 켜는 순서와 카페24 밖의 옆문

14가지를 한 번에 켜기 어렵다면 아래 순서가 비용 대비 효과가 큽니다. 계정을 지키는 것부터, 그다음 들어오는 위치, 반복 실패, 사람과 권한, 기록 순입니다.

1. 오늘: 로그인 2차 인증. 대표 운영자와 부운영자, 공급사까지. 보안인증 수단에 휴대전화 등록
2. 이번 주: 접속 위치 제한. 관리자와 엑셀 다운로드 IP 접속 제한, FTP는 SFTP만
3. 이번 주: 반복 실패 차단. 부정 로그인 방지(캡차), 로그인 실패 잠금 확인, 중복 로그인 제한
4. 이번 달: 사람과 권한 정리. 부운영자 메뉴 권한과 개인정보 마스킹, 퇴사자 계정 정리, 보안 엑셀 다운로드
5. 분기마다: 기록과 옆문 점검. 업무 처리 관리 열람, 연동 서버 토큰과 접근 기록 점검

은행 사례에서 정보가 나간 방식은 조회 화면에 입력값을 바꿔 넣는 것이었습니다. 자사몰에서 이와 가장 닮은 곳은 카페24 화면이 아니라 카페24 밖의 연동 서버입니다. ERP와 주문, 재고를 주고받는 미들웨어, 자체 개발한 조회 페이지, 외부 앱이 여기에 해당합니다. 카페24 관리자 설정은 이 서버까지 미치지 않으므로 운영사와 수행사가 따로 확인해야 합니다.

저희가 미들웨어를 구축하고 운영할 때 기본으로 두는 점검은 다섯 가지입니다.

1. API 토큰은 서버에만 둡니다. 브라우저나 앱 소스, 공유 문서에 남기지 않습니다.
2. 연동 앱의 권한은 필요한 범위만 받습니다. 주문을 읽기만 하는 연동에 회원 정보 쓰기 권한을 주지 않습니다.
3. 조회 API는 입력값을 검증하고 호출 횟수를 제한합니다. 번호를 하나씩 바꿔 넣는 요청이 이어지면 차단하고 알림을 보냅니다.
4. 연동 서버의 관리 화면과 서버 접속은 IP로 제한합니다.
5. 담당자나 외주사가 바뀌면 계정, 토큰, 서버 접속 키를 회수하고 새로 발급합니다.

그룹사 보안 점검에 대응할 때도 카페24 설정과 함께 이 연동 구간의 인증과 접근 기록을 확인합니다. 점검 문서에 '자사몰'이라고 적혀 있어도 실제 확인 범위가 연동 서버까지 넓어질 수 있기 때문입니다.

6. 상황별로 먼저 볼 것

7. 자가 점검 체크리스트 15

관리자 화면을 열어 놓고 하나씩 표시해 보시면 됩니다. 비어 있는 번호가 있으면 1번부터 순서대로 채우시면 됩니다.

관리자 문

1. 대표 운영자와 부운영자, 공급사 계정 모두 로그인 2차 인증을 쓴다
2. 관리자 접속을 특정 IP 또는 국내로 제한했다
3. 중복 로그인 제한을 켰고, 부운영자 로그인 실패 잠금을 확인했다
4. 보안인증 수단에 휴대전화가 등록되어 있다

고객 로그인 문

5. 부정 로그인 방지(캡차)를 쓴다
6. 해외 판매가 없다면 국가별 접근 차단을 검토했다
7. 회원 비밀번호 조건을 안전한 조합으로 정했다
8. 출석체크 이벤트에 보안 문자를, 게시판에 작성자 보호를 적용했다

데이터 출구

9. 보안 엑셀 다운로드를 켰고, 엑셀 다운로드 접속 위치도 제한했다
10. 통합 엑셀 파일은 비밀번호를 걸어 받는다
11. FTP는 SFTP만 쓴다

사람과 권한

12. 부운영자마다 필요한 메뉴만 열고, 개인정보 조회는 마스킹했다
13. 퇴사자와 계약이 끝난 외주사 계정이 남아 있지 않다

옆문과 기록

14. 외부 연동 서버의 토큰 보관 위치, 접속 제한, 호출 기록을 담당자가 안다
15. 업무 처리 관리 화면을 분기마다 열어 본다

자주 묻는 질문

카페24를 쓰면 보안은 카페24가 다 맡지 않나요?

서버와 결제 같은 플랫폼 영역은 카페24가 운영합니다. 다만 누가 관리자에 들어오는지, 어디서 들어오는지, 무엇을 내려받을 수 있는지는 운영사가 정하는 설정입니다. 이번 은행 사례도 고객 거래 화면이 아니라 내부 사람과 협력사가 쓰는 화면이 표적이었습니다. 이 글의 표 3이 운영사가 정하는 몫입니다.

2차 인증을 켜면 외주사 작업이 불편해지지 않나요?

처음 한 번 연락처를 등록하는 수고가 있습니다. 카페24는 2차 인증 수단을 운영자별로 설정할 수 있고, IP 접속 제한에서는 등록한 IP에 운영자 아이디를 지정할 수 있습니다. 외주사 계정을 부운영자로 따로 만들고 그 계정에 맞는 IP와 접속 허용 시간을 두면 작업 흐름은 그대로 두고 범위만 좁힐 수 있습니다.

해외 접속을 막으면 해외 고객도 못 들어오나요?

국가별 차단은 쇼핑몰 화면 접속 자체를 막으므로 해외 고객도 들어오지 못합니다. 해외 판매나 해외 배송이 있다면 국가 차단 대신 관리자 접속을 국내 또는 특정 IP로 묶고, 고객 로그인은 부정 로그인 방지로 보호하는 편이 맞습니다. IP 접속 제한의 국내 허용은 관리자와 엑셀 다운로드, FTP 접속에만 적용됩니다.

고객 비밀번호를 한꺼번에 바꾸게 해야 하나요?

우리 몰에서 유출 정황이 확인되지 않았다면 일괄 변경보다 먼저 할 일이 있습니다. 부정 로그인 방지를 켜고, 회원 비밀번호 조건을 정하고, 주문과 적립금 사용에서 평소와 다른 흐름이 없는지 보는 것입니다. 이상 정황이 보이면 그때 해당 회원에게 변경 안내를 보내는 순서가 고객 불편이 적습니다.

AI로 하는 공격이라면 방어에도 AI 솔루션이 있어야 하나요?

자사몰 담당자가 먼저 할 일은 기본 설정입니다. 자동화 공격은 반복에 기대기 때문에 2차 인증, 캡차, 실패 잠금, 접속 위치 제한처럼 반복을 끊는 장치가 비용 대비 효과가 큽니다. 탐지 솔루션은 그다음 단계에서 연동 서버와 함께 검토하시면 됩니다.

관리자 작업 기록은 얼마나 남나요?

업무 처리 관리 화면에서 대표 운영자, 부운영자, 공급사의 처리 내역을 기간과 업무별로 조회하고 엑셀로 받을 수 있습니다. 카페24 고객센터 문서 기준 기본 로그는 2년, 권한 부여와 변경, 말소 기록은 5년 보관입니다.

점검은 얼마나 자주 하면 되나요?

분기 1회를 기본으로 권합니다. 담당자나 외주사가 바뀔 때, 이번처럼 큰 보안 사고 뉴스가 나왔을 때는 주기와 관계없이 한 번 더 봅니다. 15항목을 한 번에 다 채울 필요는 없고, 비어 있는 번호를 1번부터 채우면 됩니다.

정리

이번 은행 해킹에서 자사몰이 가져갈 것은 하나입니다. 자동화 공격은 정문보다 옆문을, 한 번보다 반복을 노립니다. 그리고 카페24 자사몰에서는 그 반복을 끊는 장치 대부분이 이미 관리자 화면 안에 있습니다. 2차 인증, IP 접속 제한, 부정 로그인 방지, 실패 잠금, 보안 엑셀 다운로드, 부운영자 권한, 업무 처리 기록. 남은 일은 켜고, 사람에 맞게 나누고, 정기적으로 다시 보는 것입니다.

리더마인은 카페24 엔터프라이즈 공식 파트너로 농심몰, LG전자 전문점, 삼양 서브큐 같은 기업 자사몰을 구축하고 ERP 연동 미들웨어까지 운영합니다. 카페24 설정과 연동 서버를 한 번에 점검하고 싶으시면 위 체크리스트에서 비어 있는 번호를 정리해 문의 주시기 바랍니다.

출처

보도 사실은 둘 이상의 언론이 같은 내용으로 보도한 것만 옮겼고, 카페24 설정은 카페24 고객센터 문서와 쇼핑몰 공지 기준입니다(2026년 10월 7일 확인).

언론 보도

1. 한국경제(연합뉴스), 'AI 에이전트'에 당했다, 신한은행 보안 허점 노출, 2026-10-01 https://www.hankyung.com/article/202610018778Y
2. SBS Biz, 신한은행 AI에 털렸다, 대출모집인 페이지 뭐길래, 2026-10-02 https://biz.sbs.co.kr/amp/article/20000338069
3. 머니투데이, 신한 이어 국민도 뚫렸다, 2026-10-02 https://www.mt.co.kr/article/2026100216055965103
4. SBS Biz, 5대 은행 모두 공격받았다, 국민, 신한, 하나, 부산은행 정보 유출, 2026-10-02 https://biz.sbs.co.kr/amp/article/20000338192
5. 미주 헤럴드경제, 고객 개인정보 유출 잇달아, 우리, 농협은행은 접근 시도 차단, 2026-10-02 https://www.heraldk.com/article/2026100204530548027
6. 서울신문, AI 해커 28개 IP로 금융권 공격, 금감원 보안 취약정보 500여곳 통보, 2026-10-06 https://seoul.co.kr/news/economy/2026/10/06/20261006500289
7. 세계일보, 신한, 토스뱅크 뚫어본 AI 해킹, 금감원 12개국 공격자 IP 28개 차단령, 2026-10-06 https://www.segye.com/newsView/20261006512887
8. NSP통신, 금감원 AI 에이전트 추정 해킹 공격 IP 28개 특정, 8일까지 점검, 2026-10-06 https://www.nspna.com/report/?mode=view&newsid=830722
9. 스페셜타임스, 금감원 금융권 해킹 공격 IP 28개 전파, 8일까지 점검 요청, 2026-10-06 https://www.specialtimes.co.kr/news/articleView.html?idxno=471051
10. 파이낸셜뉴스(연합뉴스), 토뱅에 카뱅, 케뱅도 서버 접근 시도, 시중은행 해킹 IP와 동일, 2026-10-06 https://www.fnnews.com/news/202610061204115756
11. 산경투데이, 금융권 해킹 IP 인터넷은행까지 확산, 2026-10-06 https://www.sankyungtoday.com/news/articleView.html?idxno=63440

카페24 공식 문서

1. 카페24 고객센터, 안전한 쇼핑몰 운영을 위해 필수로 설정해야 하는 기능 https://support.cafe24.com/hc/ko/articles/8470101175705
2. 카페24 고객센터, 로그인 보안 설정 https://support.cafe24.com/hc/ko/articles/7674039538329
3. 카페24 쇼핑몰 공지, 쇼핑몰 고객 및 부운영자/공급사 로그인 보안 강화 설정 안내, 2024-09-04 https://shopnotice.cafe24.com/view?bbs_no=12&no=348059
4. 카페24 고객센터, 상점/보안 설정 https://support.cafe24.com/hc/ko/articles/7751558333081
5. 카페24 고객센터, 쇼핑몰 안전 설정 관련 자주 묻는 질문 https://support.cafe24.com/hc/ko/articles/17308439522585
6. 카페24 고객센터, IP 접속 제한 설정 https://support.cafe24.com/hc/ko/articles/7674078268825
7. 카페24 고객센터, 보안 인증 수단 관리 https://support.cafe24.com/hc/ko/articles/7672166085785
8. 카페24 고객센터, 보안 엑셀 다운로드 설정 https://support.cafe24.com/hc/ko/articles/7674072657305
9. 카페24 고객센터, 통합 엑셀 알아보기 https://support.cafe24.com/hc/ko/articles/7750541661465
10. 카페24 고객센터, 업무 처리 관리 https://support.cafe24.com/hc/ko/articles/7673795431833